Aktywnie wykorzystywana w atakach
Qlik Sense HTTP Tunneling Vulnerability
Qlik - Sense · Figuruje w katalogu CISA KEV od 2025-01-13. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-48365
KrytyczneCVSS 9.6KEVStreszczenie
Qlik Sense Enterprise for Windows przed sierpniem 2023 Patch 2 pozwala na nieuwierzytelnione zdalne wykonanie kodu (QB-21683). Z powodu niewłaściwej walidacji nagłówków HTTP zdalny atakujący może podnieść swoje uprawnienia poprzez tunelowanie żądań HTTP, co pozwala mu na wykonywanie żądań HTTP na serwerze backendowym hostującym aplikację repozytorium.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu Qlik Sense.
Rekomendacja
Należy zaktualizować Qlik Sense Enterprise for Windows do wersji August 2023 Patch 2 lub nowszej.
Inne podatności w Qlik Sense Enterprise for Windows
Zobacz wszystkie- CVE-2023-41266WysokieAktywnie exploitowane
W Qlik Sense Enterprise dla systemu Windows zidentyfikowano podatność typu path traversal, która występuje w wersjach do maja 2023 Patch 3, lutego 2023 Patch 7, listopada 2022 Patch 10 oraz sierpnia 2022 Patch 12. Umożliwia to nieautoryzowanemu zdalnemu atakującemu generowanie anonimowej sesji i przesyłanie żądań HTTP do nieautoryzowanych punktów końcowych.
- CVE-2023-41265KrytyczneAktywnie exploitowane
W Qlik Sense Enterprise dla systemu Windows zidentyfikowano podatność na tunelowanie żądań HTTP, która dotyczy wersji z maja 2023 Patch 3 i wcześniejszych, lutego 2023 Patch 7 i wcześniejszych, listopada 2022 Patch 10 i wcześniejszych oraz sierpnia 2022 Patch 12 i wcześniejszych. Umożliwia to zdalnemu atakującemu podniesienie swoich uprawnień poprzez tunelowanie żądań HTTP w surowym żądaniu HTTP.
Oryginalny opis (angielski, źródło NVD)
Qlik Sense Enterprise for Windows before August 2023 Patch 2 allows unauthenticated remote code execution, aka QB-21683. Due to improper validation of HTTP headers, a remote attacker is able to elevate their privilege by tunneling HTTP requests, allowing them to execute HTTP requests on the backend server that hosts the repository application. The fixed versions are August 2023 Patch 2, May 2023 Patch 6, February 2023 Patch 10, November 2022 Patch 12, August 2022 Patch 14, May 2022 Patch 16, February 2022 Patch 15, and November 2021 Patch 17. NOTE: this issue exists because of an incomplete fix for CVE-2023-41265.